集団による大規模攻撃も！なぜサイバー攻撃は横行する？

当初は個人が愉快犯的に行っていたサイバー攻撃ですが、近年は集団で行われるケースが増え、目的も金銭の要求、個人情報の不正取得、悪用、特定の組織を攻撃することで社会的な信頼を落とすためのものなどが目立ちます。個人情報が盗まれてフィッシング詐欺に使われてしまう事件は頻繁に起きており、さらには国家を標的としたサイバー攻撃により、集団でアクセスを集中させてシステムをダウンさせる事態も起きています。

DXや働き方改革の前に！押さえておきたい巧妙なサイバー攻撃の種類

サイバー攻撃の標的となるのは国家や特定の企業だけとは限りません。そこにセキュリティ対策が甘いシステム、ネットワークがあれば、組織の規模に関係なく格好の標的になることは明らかです。DXに向けたクラウド活用のみならず、昨今の働き改革の取り組みにおいてもリスクは存在します。たとえば、リモートワーク、テレワークといったオフィスに縛られないワークスタイルを実現する際には、サイバー攻撃に備えるより強固な対策が不可欠となります。とはいえ、サイバー攻撃は種類によって対策も異なります。まずは組織を守るために抑えておきたい主要な攻撃方法をご紹介します。

うっかり怪しいメールを開くと危ない？「標的型攻撃」

特定の組織などを標的とした攻撃です。さまざまな手法で標的となる企業のシステム、ネットワークに侵入し、機密情報の窃盗や改ざんなどを行います。たとえば、ターゲットが通常業務でやり取りしている内容に近いメールを送信し、添付ファイル、URLを開かせることでマルウェアを仕込み、LANなどを経由して組織内の他PCにも感染を拡大し、個人情報などを盗み出します。

データを盗む以外の被害事例もあります。たとえば、企業や個人のPCに侵入して勝手にファイルを暗号化し、復号に金銭を要求するランサムウェアは2017年に世界的に流行しました。ランサムウェアの一つである「WannaCry」は、国内の大企業も被害に遭うなど大きな影響を及ぼしました。他にもトロイの木馬、ワームなどPCの動作に支障をきたす被害が有名です。

公開サーバーに負荷をかけてダウンさせる！「DDoS攻撃」

インターネット上で公開されているWebサーバーなどを標的として、大量のPCから集中的にアクセスし、正常なサービス提供を妨害する攻撃です。この攻撃を受けると外部からのアクセスが不可能な状態に陥り、たとえばECサイトであれば機会損失などの被害が発生します。

IDとパスワードの使いまわしが狙われる！「不正アクセス」

外部からIDやパスワードを割り出し、不正にサーバーに侵入して機密情報保管を盗み出す、改ざんする手口です。ID、パスワードを複数のWebサイトやアプリケーションで使いまわしていると標的になりやすいため注意が必要です。不正アクセスが個人情報流出の原因になるケースも多く、このような事態が発生すれば、ブランド価値の毀損や被害者への多額の賠償により、事業継続に大きな影響が生じかねません。

たとえば、プログラムによってあらゆる文字の組みあわせを試行することでIDとパスワードを破ろうとするブルートフォースアタックや、不正に入手したIDやパスワードの一覧を他のサイトで試していくパスワードリスト攻撃などは代表的な攻撃手法です。

さらに脆弱性を狙った不正アクセスも頻繁に発生しています。脆弱性とは、ソフトウェアのセキュリティ上の欠点のことです。最新のバージョンやセキュリティパッチの更新をせずに脆弱性のあるソフトを使い続けていると、被害に遭うリスクが高くなります。

脆弱性を狙った攻撃には、Webサイトの通常はアクセスできないファイルに不正にアクセスするディレクトリトラバーサル、Webサイトのコメント欄などにSQL文と呼ばれるコードを入力してデータベースを不正に操作するSQLインジェクションなどがあります。

このようにサイバー攻撃の種類は多く、きわめて巧妙な手口も存在します。しかし、しっかり対策を講じていれば防げるものがほとんどです。ここで覚えておいてほしいのは、ここで紹介した手口だけではなく、日々、新たなサイバー攻撃が生まれているということです。

一瞬で信用は失墜し、収益は飛散する！もはや他人事ではない被害事例

実際にサイバー攻撃を受けると、どのような被害が発生するのでしょうか？事業継続が困難になった、社会的な信用を失墜したといった、実際に起きた事例をご紹介します。

個人情報が大量流出！公立大学の被害例

2019年11月、ある公立大学で、実在する雑誌社の名前を騙るメールの添付ファイルを開いた教員のパソコンがウイルスに感染しました。これは機密情報窃取を目的とした標的型攻撃メール「Emotet」とみられます。ウイルス感染の結果、教員のメールボックス内に保存されていた1万8千件あまりのメール情報が流出したおそれがあります。

このEmotetは2020年以降落ち着きを見せていましたが、2021年11月ごろから攻撃活動が再開されたとみられ、特に2022年2月から感染が急拡大しています。

転職情報サイトへの不正ログインによる被害事例

2021年2月、大手人材サービス企業が運営する転職情報サイトが不正ログインを受け、サービス利用者の21万2,816件の履歴書情報が流出した可能性があると公表しました。これは、外部から入手したIDとパスワードの入力を繰り返して不正アクセスを試みる「パスワードリスト型攻撃」とみられています。同社は不正アクセス対策として、接続元のIPアドレスを特定して通信を遮断し、セキュリティ対策を強化しました。

サプライチェーンを狙った攻撃の事例

2022年2月、国内大手自動車メーカーの取引先である部品メーカーのサーバーがサイバー攻撃を受けたことにより、自動車メーカーは国内の全工場の稼働一時停止を余儀なくされました。その結果、約1万3千台の生産に遅れが生じました。その後の調査で、部品メーカーが使用していたリモート接続機器のセキュリティに脆弱性があったことが原因で不正アクセスを受けたことが判明しました。

このような企業や団体を標的としたサイバー攻撃は、規模や業種を問わず日常的に起きています。被害に遭ってから慌てても「後の祭り」、すぐにでも対策を講じる必要があります。

知っておきたい、サイバー攻撃への有効な対策とは？

サイバー攻撃の多くは、適切な対策によって被害を未然に防ぐことができます。ここでは、企業が実施しておきたい基本的な対策方法をご紹介します。

標的型攻撃への対策

標的型攻撃によるマルウェアへの感染を防ぐ手段の代表例がPCにインストールして利用するウイルス対策ソフトです。従来のウイルス対策ソフトで検知・駆除できるのはすでに発見されている既知のマルウェアだけでしたが、最近では未知のマルウェアに対応したサービスも登場しています。NTT Comでは標的型攻撃の有効な対策として、PC向けにはマルウェア、ランサムウェアの脅威をエンドポイント確実に保護する「マイセキュア ビジネス 」などをおすすめしています。さらにインターネット接続とファイアウォール、URLフィルタリングなどのUTM機能をセットで提供する「OCN光 IPoE vUTMセット」も有効な対策の一つです。

DDoS攻撃への対策

DDoS攻撃は多くの企業が被害を受けている一方、なかなか対策が難しいのが現状です。背景にある理由として、攻撃を目的とした大量の通信によりネットワークが飽和状態になってしまうことが挙げられます。このためサーバー側で対策を講じても、サーバーとの通信が阻害されて正規ユーザーはアクセス不能になります。NTT Comではネットワーク上で通信を監視、DDoS攻撃の防御／フィルタリングを行う「OCN DDoS対策サービス」などをご用意しています。

不正アクセスへの対策

Webサイトの防御に特化したセキュリティソリューションとして、多くの企業で使われているのがWAF（Web Application Firewall）と呼ばれるジャンルの製品で、Webサーバー上で実行されるWebアプリケーションやデータベースの脆弱性を狙った攻撃を検知し、遮断する機能を備えます。加えた自社Webサイトにおける脆弱性の有無を事前に診断しておけば、より安心してWebサイトを公開することができるでしょう。NTT ComではWebサイトの改ざん、不正アクセスなどの攻撃に備えるためにシステムの脆弱性を診断する「WideAngle」を提供しています。

働き方改革を推進する対策

フリーアドレス環境の整備、リモートワークやテレワークの推進に向けてMicrosoft 365、Google WorkspaceなどのSaaS型サービスを利用するケースが増えています。このようなネットワーク経由でクラウド環境にアクセスする際には使い勝手とセキュリティ対策の両立が重要になります。NTT Comでは負荷のかかるSaaS型サービスをローカルブレイクアウトで分散し、快適な利用を実現するネットワーク構築、そしてクラウド利用に特化したトータルなセキュリティ対策をセットにした「クラウドファーストネットワークパック」を提供しています。

とはいえ、一度にすべての対策を打つのは稼働的、費用的にも大変です。まずは優先順位をつけて、大きな効果の出るところから段階的に対策していくことが肝要になります。付け加えるなら、つねにサイバー攻撃の手口は進化しているため、最新のトレンドを確認して継続的に対策方法を検討、更新し続ける必要もあります。

そのような問題に対処するために、NTT Comでは上記で紹介したセキュリティサービスとあわせて利用できる「セキュリティサポートデスク」をご用意。これは平常時のセキュリティ対策導入の相談からインシデント発生時の事後対応までをトータルにサポートするサービスです。社内にセキュリティ対策に詳しい人がいない、予算を充分にかけられない、相談する相手がいないといった理由でセキュリティに不安を抱えている方は、ぜひご検討してみてはいかがでしょうか。